1，使用高性能網絡設備。
首先要保證網絡設備不能成為瓶頸，所以在選擇路由器、交換機、硬件防火墻等設備時，盡量選擇知名度高、口碑好的產品。那麽如果和網絡提供商有特殊關系或者協議就更好了。當大量攻擊發生時，要求他們在網絡接點進行流量限制，對抗某種DDOS攻擊，是非常有效的。
2.盡量避免使用NAT。
無論是路由器還是硬件防護墻設備，都要避免使用網絡地址轉換NAT，因為這種技術會大大降低網絡通信能力。其實原因很簡單，因為NAT需要來回轉換地址，在轉換過程中需要計算網絡包的校驗和，因此浪費了大量的CPU時間，但是有時候必須使用NAT，所以沒有什麽好的辦法。
3.足夠的網絡帶寬保證
網絡帶寬直接決定了抵禦攻擊的能力。如果只有10M的帶寬，無論采取什麽措施，都難以抵禦目前的SYNFlood攻擊。目前至少要選擇100M的帶寬，最好的當然是掛在1000 M的主幹上，但是需要註意的是，主機上的網卡是1000M並不代表它的網絡帶寬是千兆的。如果連接的是100M的交換機，它的實際帶寬不會超過100M，而且即使連接的是100M的帶寬，也不代表它會有百兆的帶寬，因為網絡服務提供商很可能會在交換機上限制它。
4.升級主機服務器硬件。
在保證網絡帶寬的前提下，請盡量升級硬件配置。為了有效對抗每秒65438+萬的SYN攻擊包，服務器的配置至少要p 42.4g/DDR 512m/SCSI-HD，CPU和內存起著關鍵作用。如果妳有誌強雙CPU，就用吧。內存壹定要選擇DDR高速內存，硬盤盡量選擇SCSI。不要貪圖IDE足夠便宜，否則會付出很高的性能價格。然後網卡必須是3COM或者Intel等知名品牌的。如果是Realtek，應該在自己的PC上使用。
5.把網站做成靜態頁面或者偽靜態。
事實證明，把網站做成靜態頁面，不僅可以大大提高抗攻擊能力，還會給黑客帶來很多麻煩，至少到目前為止，HTML的溢出還沒有出現。目前很多門戶網站都是以靜態頁面為主。如果必須進行動態腳本調用，那麽就把它弄到另壹臺單獨的主機上，這樣在受到攻擊時就不會牽扯到主服務器。當然，放壹些沒有正確調用數據庫的腳本也是可以的。另外，在需要調用數據庫的腳本中最好拒絕使用代理，因為經驗表明使用代理訪問妳的網站是惡意的。
6.增強操作系統的TCP/IP堆棧。
Win2000和win2003作為服務器操作系統，有壹定的抵禦DDOS攻擊的能力，但默認不開啟。如果開啟的話，可以抵抗10000左右的SYN攻擊包，不開啟的話只能抵抗幾百個。
7.安裝專業防DDOS防火墻。
8.HTTP請求攔截
如果惡意請求有特征，那麽處理起來非常簡單，直接攔截即可。HTTP請求壹般有兩個特征:IP地址和用戶代理字段。
9.備份網站
妳應該有壹個備份網站，或者至少有壹個臨時主頁。萬壹生產服務器離線，可以馬上切換到備份網站，就不會束手無策了。
備份網站不壹定功能齊全。如果能完全靜態瀏覽，就能滿足需求。至少，妳應該能夠顯示壹個公告，告訴用戶網站有問題，正在修復。這個臨時主頁建議放在Github裏。
Pages或Netlify，帶寬大，可以應對攻擊，並且都支持綁定域名，可以從源代碼自動構建。
10，正在部署CDN
CDN就是把壹個網站的靜態內容分布到多個服務器上，用戶可以就近訪問，提高速度。所以CDN也是壹種帶寬擴展的方法，可以用來防禦DDOS攻擊。
網站的內容存儲在源服務器上，內容緩存在CDN上。只允許用戶訪問CDN，如果內容不在CDN上，CDN會向源服務器發送請求。這種情況下，只要CDN足夠大，就能抵禦很大的攻擊。但是這種方法有壹個前提，就是網站的大部分內容必須是靜態緩存的。對於動態內容為主的網站，壹定要想別的辦法，盡量減少用戶對動態數據的請求；本質就是自己搭建壹個微CDN。各大雲服務商提供的高安全性IP，背後也是這麽做的:網站域名指向高安全性IP，提供緩沖層，清洗流量，緩存源服務器的內容。
這裏有壹個關鍵點。壹旦上了CDN，不要泄露源服務器的IP地址，否則攻擊者可以繞過CDN，直接攻擊源服務器。之前的努力都白費了。
11，其他防禦手段
以上建議適合絕大多數擁有自己主機的用戶，但是如果采取以上措施後無法解決DDOS問題，那就比較麻煩了，可能需要更多的投入，比如增加服務器數量，采用DNS輪循或者負載均衡技術，甚至購買七層交換機設備，這樣抵抗DDOS攻擊的能力可以翻倍，只要投入足夠深。